Cookie,Session 그리고 SameSite 🍪

---

Cookie와 Session

1. 등장배경

클라이언트가 정보를 유지하는 stateful한 성격의 서비스가 많아짐

(로그인을 통해 볼 수 있는 서비스, 장바구니 등)

그런데 HTTP의 특징 (링크) 중 무상태(stateless), 비연결성(connectionless) 탓에 정보를 유지할 수 없다.

서버와 클라이언트가 통신을 할 때 마다 서버는 클라이언트가 누구인지 인증을 계속해야 한다.

🤷🏻‍♀️ : 아니 너무 번거롭잖아! 기억하게 하려면 어떻게 하지?

=> 그래서 나온 것이 바로 Cookie와 session!

클라이언트의 인증을 유지하기 위해 사용된다.

만약 쿠키와 세션을 사용하지 않는다면

• 쇼핑몰에 접속
• 너 누구야? 로그인 해
• 상품 클릭 -> 상세화면으로 이동
• 너 누구야? 로그인 해
• 주문
• 너 누구야? 로그인 해
• 유저 극대노 🔥🔥

=> 열받은 사용자는 사이트를 꺼버리고 말 것이다.

쿠키와 세션을 사용했을 경우

최초 로그인을 하면, 서버가 그 사용자에 대한 인증을 유지한다.

즉, 쿠키와 세션을 통해 서버는 클라이언트를 기억하고 있는 것!

2. Cookie란?

클라이언트 측(브라우저)에서 관리되는 작은 기록 정보 파일

쿠키의 특징

• 사용자 인증이 유효한 시간을 명시할 수 있다
• 한 번 유효 시간이 정해지면 브라우저를 끄더라도 인증이 유지된다

2-1. 쿠키 구성 요소

• 이름
  • 각각의 쿠키를 구별하는 데 사용되는 이름
• 값
  • 쿠키가 갖고 있는 값
• 유효시간
  • 쿠키의 유지시간
• 도메인
  • 쿠키를 전송할 도메인
• 경로
  • 쿠키를 전송할 요청 경로

2-2. 쿠키 동작 방식

이전에 포스팅한 cookie, session, token 참고

• 1) 클라이언트가 페이지를 요청
• 2) 서버에서 쿠키를 생성
• 3) HTTP 헤더에 쿠키를 포함시켜 응답
  • 이 응답엔 Set-Cookie 헤더가 포함되어 있다
  • 브라우저는 Set-Cookie 에 들어있는 데이터를 저장, 이것이 바로 쿠키

    Set-Cookie: normal=yes
    

  서버에서 전송하는 응답에 포함된 ” Set-Cookie “ 헤더

• 4) 브라우저가 종료되어도 쿠키 만료기간이 있으니 클라이언트에서 보관함
• 5) 쿠키가 존재하면, 요청시에 HTTP 헤더에 쿠키를 함께 보내서 요청

    Cookie: normal=yes;
  

  브라우저에서 보내는 요청에 포함된 ” Cookie “ 헤더

• 6) 서버에서 쿠키를 읽어 이전 상태 정보를 변경할 필요가 있을 경우, 쿠키를 업데이트해서 변경된 쿠키를 HTTP 헤더에 포함시켜 응답

쿠키는 서버에서 사용자를 식별하기 위한 수단으로 사용된다. </br>

2-3. 쿠키 사용 예

• 로그인 시, “아이디와 비밀번호를 저장하시겠습니까?”
• 쇼핑몰의 장바구니 기능

3. Session이란?

세션은 쿠키를 기반으로 하고 있지만, 쿠키는 사용자 정보 파일을 브라우저에 저장하고 세션은 서버 측에서 관리한다.

서버에서는 클라이언트를 구분하기 위해 세션 ID를 부여하며 웹 브라우저가 서버에 접속해서 브라우저를 종료할 때까지 인증상태를 유지한다.

물론 접속 시간에 제한을 두어 일정 시간 응답이 없다면 세션을 끊도록 설정이 가능하다.

• 사용자에 대한 정보를 서버에 저장하기 때문에…
  • 쿠키보다 보안에 좋다
  • 사용자가 많아질수록 서버 메모리를 많이 차지한다

동접자 수가 많은 웹 사이트인 경우 서버에 과부하를 주게 되므로 성능 저하의 요인

3-1. 세션 동작 방식

• 1) 클라이언트가 서버에 접속 시 세션 ID를 발급
  • Set-Cookie 헤더로 세션 ID를 넣어둔다
• 2) 클라이언트는 세션 ID에 대해 쿠키를 사용해서 저장 ( 이때 쿠키의 이름은 JSESSIONID)

• 3) 클라이언트가 서버에 다시 접속 시 이 쿠키를 이용해서 세션 ID 값을 서버에 전달
  • Cookie 헤더의 세션 ID를 넣어서 서버에게 요청
  • 서버는 그 세션 ID를 읽어 어떤 사용자가 보낸 요청인지 판단한다

3-2. 세션 특징

• 1) 각 클라이언트에게 고유 ID를 부여
• 2) 세션 ID로 클라이언트를 구분해서 클라이언트에 요구에 맞는 서비스 제공
• 3) 서버에 저장하기 때문에, 쿠키보다 보안 우수
• 4) 사용자가 많을 수록 서버 메모리 많이 차지함

3-3. 세션 사용 예

로그인 같은 보안상 중요한 작업 수행 시 사용 </br>

이후 요청부터 전송될 Cookie 헤더의 세션 ID를 읽어 어떤 사용자의 요청인지를 판단하는 방식을 사용한다. </br>

대부분의 웹 사이트의 로그인 구현이 이런 방식으로 구성되어 있다. </br>

4. 쿠키와 세션의 차이

역할이 비슷하고, 동작원리도 비슷하다.
그 이유는 세션도 결국 쿠키를 사용하기 때문!

–	쿠키	세션
저장위치	브라우저	서버
유지기간	쿠키 만료기간까지	브라우저 종료시까지
보안	비교적 나쁨	비교적 좋음
요청속도	비교적 빠름	비교적 느림

• 1) 사용자 정보 파일 저장위치
  • 쿠키 : 브라우저
  • 세션 : 서버
• 2) 인증상태 유지 시간
  • 쿠키 : 쿠키만료기간까지
  • 세션 : 브라우저 종료 시까지 인증상태 유지
    • (접속 시간 제한으로 일정시간 응답없으면 세션 종료 설정 가능)
• 3) 보안
  • 쿠키 : 브라우저에 저장하기 때문에 좋지 않음
  • 세션 : 서버에 저장되기 때문에 쿠키보단 좋음
    • (하지만 중간에 탈취당할 수 있어서 안전하진 않다)
• 3) 요청속도
  • 쿠키 : 빠름
  • 세션 : 쿠키보다 느림
    • (서버에서 처리가 필요하기 때문에)

세션은 사용자 수 만큼 서버 메모리를 차지하기 때문에
요즘은 토큰 기반의 인증방식을 사용한다.

그 중 JWT(Json Web Token)이 있다.
JWT 포스트 (링크)는 별도로 정리했다.

발전하는 쿠키, SameSite

쿠키는 보안과 개인정보보호가 취약하다.
따라서 브라우저가 쿠키를 다루는 방식이 점차 바뀌어가고 있다.

그 중 쿠키에 추가된 sameSite 속성을 알아보자.

4. SameSite 속성